LiteLLM : le jeton perdu qui a exposé 434 000 pipelines d'IA

Quarante minutes. C'est le temps qu'il a suffi pour que deux versions empoisonnées d'un logiciel au cœur de l'écosystème mondial de l'intelligence artificielle se propagent dans le monde entier. Le 12 août 2026, la société de renseignement sur les menaces CloudSEK a publié une reconstitution détaillée de la compromission de LiteLLM, la passerelle open source qui permet aux développeurs d'appeler plus de cent fournisseurs de modèles d'IA, dont ceux d'Anthropic, de Google et d'Amazon. Bilan : plus de 2 500 organisations et 434 000 pipelines d'intégration continue exposés.

Quarante minutes ont suffi pour que deux versions piégées de LiteLLM se propagent sur la planète. (Illustration BNTIC News)

Le plus fascinant ? Les pirates n'ont jamais attaqué LiteLLM directement. Tout commence par Trivy, le scanner de vulnérabilités open source d'Aqua Security. Le groupe TeamPCP, déjà connu pour plusieurs compromissions de logiciels libres, a mis la main sur un jeton d'automatisation divulgué. Le jeton a été « révoqué »… mais pas complètement. Pendant une vingtaine de jours, les attaquants ont pu écraser les versions officielles de Trivy avec leur propre code.

La suite est d'une logique redoutable : le système de compilation de LiteLLM installait automatiquement Trivy, sans verrouiller la version. Le scanner compromis s'est donc glissé dans le processus de fabrication, et deux versions piégées de LiteLLM, numérotées 1.82.7 et 1.82.8, ont été publiées sur le dépôt central des paquets Python. « Un jeton non révoqué, trois outils plus loin : voilà la chaîne qui transforme une fuite d'identifiant en exposition planétaire », résume CloudSEK.

Le malware embarqué ne faisait pas dans la dentelle. Un fichier sournois s'exécutait à chaque démarrage de Python, sans même que le logiciel soit utilisé. Le voleur d'identifiants, baptisé SANDCLOCK par le FBI, escaladait les privilèges jusqu'au niveau administrateur et raflait tout : clés SSH, identifiants des clouds d'Amazon, de Google et de Microsoft, jetons Kubernetes, variables d'environnement, secrets des pipelines, et surtout les clés d'accès aux modèles d'IA des victimes.

Le voleur d'identifiants SANDCLOCK raflait clés de cloud, secrets CI/CD et clés d'accès aux modèles d'IA. (Illustration BNTIC News)

Le butin était chiffré puis expédié vers un domaine frauduleux imitant un nom légitime. Et quand l'exfiltration échouait, les pirates créaient un dépôt public dans le propre compte GitHub de la victime pour y déposer les données volées : certaines organisations ont ainsi publié leurs secrets elles-mêmes, sans le savoir.

Dans la liste des organisations exposées figurent des géants comme Nvidia, Intel, AWS, Cisco, Salesforce, Zscaler, ServiceNow, mais aussi John Deere, FedEx, Volkswagen, Bayer ou encore la branche américaine d'Airbus. CloudSEK précise que ces chiffres décrivent une exposition reconstituée, pas une compromission avérée pour chacune. Le FBI, qui avait déjà alerté en juillet, rattache cette campagne à une offensive plus large visant aussi le scanner KICS et un kit de développement de Telnyx, avec extorsion à la clé.

CloudSEK a reconstitué l'exposition : plus de 2 500 organisations et 434 000 pipelines touchés dans le monde. (Illustration BNTIC News)

La leçon capitale est limpide : dans l'ère de l'IA, la chaîne d'approvisionnement logicielle est devenue le maillon faible des économies numériques. Pour les développeurs, les startups et les États africains qui adoptent massivement l'open source et les passerelles d'IA, trois réflexes s'imposent : verrouiller les versions de chaque dépendance, isoler les secrets hors des environnements de compilation, et surveiller en continu les outils que l'on installe. La confiance ne se décrète pas : elle se construit, brique par brique.

LEÇON CAPITALE

Un jeton non révoqué, trois outils plus loin, et c'est tout l'écosystème de l'IA qui vacille. Dans l'ère de l'intelligence artificielle, la chaîne d'approvisionnement logicielle est le maillon faible : verrouiller les versions, isoler les secrets et surveiller chaque dépendance n'est plus une option, c'est la survie des économies numériques  au Nord comme en Afrique.

SOURCE & LIEN

CloudSEK, rapport publié le 11 août 2026 ; SecurityWeek — « Over 2,500 Organizations Impacted by LiteLLM Supply Chain Attack », 12 août 2026 ; DevOps.com, 12 août 2026.

https://www.securityweek.com/over-2500-organizations-impacted-by-litellm-supply-chain-attack/